L2TP/IPsec gagal saat layanan IKEEXT dinonaktifkan

Satu laptop mencapai gateway IKEv2 tetapi gagal terhadap gateway L2TP/IPsec, dan kesalahan muncul sebelum ada nama pengguna yang dikirim. Profil biasanya tersangka pertama dan biasanya yang salah. Windows menjalankan pertukaran kunci IPsec di dalam sebuah layanan, dan selama layanan itu nonaktif, klien bawaan tidak punya tumpukan untuk bernegosiasi. Periksa layanan itu sebelum menyentuh satu bidang profil pun, lalu cari tahu apa yang menonaktifkannya.

Layanan di balik kegagalan

IKE and AuthIP IPsec Keying Modules, yang tampil sebagai IKEEXT di daftar layanan, melakukan pertukaran kunci dan menahan soket UDP 500 dan 4500 di Windows. Nonaktifkan dan L2TP/IPsec maupun IKEv2 kehilangan perundingnya, sementara PPTP dan SSTP bisa tetap berjalan karena tidak bergantung padanya. Pemisahan itulah sebabnya pengguna bisa melaporkan satu jenis VPN berfungsi dan jenis lain mati di mesin yang sama. Layanan ini bagian dari sistem operasi, jadi tidak ada pengaturan profil yang bisa menggantikannya.

Membebaskan dua port itu adalah efek samping yang menghasilkan saran buruk. Sebuah alat atau unggahan forum menyadari bahwa 500 dan 4500 sedang dipakai, menghentikan layanan untuk membebaskannya, dan dengan begitu diam-diam menghapus IPsec dari host. Kedua efeknya adalah satu tindakan, jadi panduan apa pun yang menyarankan membersihkan port menggambarkan pertukaran, bukan perbaikan.

Kembalikan layanan tanpa menebak

Ajukan dua pertanyaan kepada manajer layanan: apa jenis startup-nya, dan apa status saat ini. Yang pertama memberi tahu apakah layanan akan kembali setelah mulai ulang; yang kedua apakah ia berjalan sekarang. Jalankan kedua kueri dari prompt perintah yang ditinggikan agar shell yang sama bisa mengubah pengaturan setelahnya.

sc qc ikeext
sc query ikeext

Jenis startup Disabled menjelaskan seluruh gejalanya, dan solusinya adalah mengembalikannya ke Automatic lalu memulai layanan. Di konsol Services, entri muncul dengan nama tampilannya, IKE and AuthIP IPsec Keying Modules, jadi mencari IKEEXT di daftar itu tidak menemukan apa pun. Mulai ulang jika layanan baru dimulai setelah koneksi yang gagal sudah berjalan, karena tumpukan yang diinisialisasi dengan urutan itu bisa gagal dengan cara yang tampak tidak terkait.

sc config ikeext start= auto
net start ikeext

Apa yang mematikannya lagi

Beberapa rangkaian VPN pihak ketiga membawa implementasi IPsec sendiri dan menonaktifkan IKEEXT saat pemasangan, setelah itu klien Windows berhenti berfungsi. Menghapus produk lain telah memulihkan L2TP/IPsec pada mesin yang perubahan profilnya tidak menghasilkan apa-apa, dan begitu pula memasangnya ulang tanpa komponen yang berbenturan. Layanan itu dinonaktifkan saat pemasangan, bukan diubah pengguna.

Kebijakan grup juga bisa memaku jenis startup; dalam hal itu perubahan lokal dikembalikan pada penyegaran berikutnya dan administrator pemilik kebijakan harus mengubahnya. Catat jenis startup sebelum mulai ulang, sesudahnya, dan setelah produk lain diperbarui, setiap kali dengan tanggal. Nilai yang terus kembali ke Disabled membocorkan pemiliknya lewat pola, bukan lewat dugaan.

Baca tahapnya dulu, baru lognya

Saat layanan berjalan, tahap kegagalan menentukan ke mana harus melihat berikutnya. Berhenti selama IKE biasanya berarti UDP 500 atau 4500 tidak pernah mencapai server, atau server berada di belakang NAT tanpa pengaturan enkapsulasi yang cocok. Mencapai prompt kredensial lalu gagal di sana adalah masalah autentikasi PPP, bukan IPsec. Terowongan yang naik dan tidak mencapai apa pun adalah kesalahan perutean atau terowongan terpisah, dan hanya yang pertama dari ketiganya berada di profil VPN.

Profil dengan sertifikat menambah tahapnya sendiri. Klien harus memercayai otoritas penerbit dan sertifikat harus menyebut server yang divalidasi; jika salah satu syarat gagal, dialog tetap melaporkan kesalahan negosiasi awal, jadi log peristiwa adalah tempat alasan sebenarnya muncul. Baca entri log sebelum mengubah profil, karena dialog memadatkan beberapa kegagalan berbeda menjadi satu kalimat. Sertifikat yang kedaluwarsa menghasilkan dialog yang sama seperti layanan yang dinonaktifkan, itulah sebabnya entri log penting.

Catat tahap yang gagal, teks kesalahan, dan stempel waktu untuk setiap percobaan. Ketiga bidang itu memisahkan masalah keterjangkauan dari masalah autentikasi dan dari masalah perutean, dan membuat perubahan berikutnya menjadi keputusan, bukan dugaan.

Apa yang tidak bisa dibuktikan perbaikan lokal

Memulihkan layanan hanya memperbaiki separuh jalur yang ada di laptop. Layanan yang berfungsi hanya membuktikan separuh lokal: ujung jauh tetap harus menerima proposal yang dipilih, kredensial yang diberikan, dan alamat sumber tempat paket datang. Tidak ada yang dilakukan di laptop bisa mengimbangi firewall yang membuang UDP 500 sebelum mencapai peer. Status layanan yang berhasil adalah prasyarat, bukan bukti bahwa terowongan akan naik.

Menonaktifkan IKEEXT untuk membebaskan port hanya bisa dipertahankan jika Anda menerima bahwa VPN IPsec Windows berhenti berfungsi. Ini menyelesaikan benturan port dengan menghapus fitur yang membutuhkan port itu, dan itu jarang merupakan pertukaran yang dimaksud pengguna. Sebelum mengubah apa pun, pastikan layanan ada, disetel ke Automatic dan berjalan, tidak ada tumpukan IPsec kedua yang terpasang, dan kunci yang dibagikan sebelumnya atau rantai sertifikat cocok dengan gateway.

• IKEEXT ada, disetel ke Automatic, dan berjalan sebelum klien terhubung.
• Tidak ada hal lain yang menahan UDP 500 atau 4500.
• Tidak ada tumpukan IPsec kedua yang tersisa dari klien lama.
• Kunci atau rantai sertifikat cocok dengan konfigurasi gateway.
• Tahap yang gagal dicatat sebelum profil diubah.